Conectar, firmar y pagar: las tres acciones que todo el mundo confunde en Web3

1. El modelo mental: entrar en un local

Imagina que entras en un local. En la puerta, enseñas tu carnet — te ven, no te cuesta nada, y no has comprado nada todavía. Dentro, puede que firmes un registro de entrada, confirmando que eres tú — sigue sin costarte dinero. Y solo cuando sacas la cartera para pagar algo, ahí sí se mueve tu dinero de verdad.

En Web3 pasa exactamente lo mismo, con tres nombres concretos: conectar, firmar y pagar (o aprobar una transacción). Son tres acciones muy distintas, y solo la última toca tu dinero. Quédate con esta idea, porque va a ordenar todo lo que viene después.

2. Conectar: enseñar el carnet

Conectar tu wallet a una web significa, únicamente, dejar que esa web vea tu dirección pública — tu "carnet". No cuesta nada, no mueve ni un céntimo y no da ningún permiso sobre tu dinero. Es literalmente enseñar quién eres para que la web pueda, a partir de ahí, pedirte cosas.

Esto es importante porque mucha gente se paraliza justo aquí, con el paso más inofensivo de los tres. Conectar es seguro. El riesgo real no está en darle a "Conectar wallet" — está en lo que aceptas después de haber entrado.

Piénsalo con el mismo local de antes: enseñar el carnet en la puerta no te compromete a comprar nada, ni le da al de seguridad acceso a tu cartera. Solo confirma que puedes entrar. Puedes conectar tu wallet a diez webs distintas mientras exploras Web3 sin que eso, por sí solo, ponga en riesgo un solo céntimo — el riesgo empieza más adelante, cuando alguna de esas webs te pida algo más que mirar.

3. Firmar: el registro de entrada (normalmente)

Una vez dentro, la web puede pedirte que firmes un mensaje para demostrar que la wallet es realmente tuya — algo así como firmar el libro de visitas. Una firma normal es gratis (no gasta gas) y no mueve dinero: sirve para "iniciar sesión" con tu identidad, nada más.

Aquí está el matiz que merece toda tu atención: no todas las firmas son ese registro inofensivo. Algunas firmas están disfrazadas — parecen un simple "firmar mensaje", pero en realidad son un permiso para que otro gaste tus tokens. Y lo peligroso es precisamente que no cuestan gas y no se sienten como una transacción, así que bajan la guardia justo cuando no deberían.

La regla de oro que te protege de esto es simple: nunca firmes algo que no puedas leer y entender. Aceptar una firma que aparece como un muro de código ilegible se llama "firmar a ciegas", y es el último paso de casi todos los robos de wallet. La buena noticia es que las wallets modernas cada vez traducen más esas peticiones a texto legible en vez de código — si lo que ves es legible, léelo antes de aceptar; si sigue siendo ilegible, para y no firmes.

4. Pagar (o aprobar): la única que toca tu dinero

La tercera acción es la de verdad: pagar o aprobar una transacción. Esta sí es una acción real en la blockchain — mueve dinero o da permisos concretos sobre tus tokens, cuesta una comisión de red (el gas) y siempre tienes que confirmarla tú mismo en tu wallet.

De las tres acciones, esta es la única que puede hacerte perder algo. Por eso, cuanto más simples de reconocer sean las otras dos —conectar y firmar un mensaje normal—, más energía te queda para poner toda tu atención en este único paso: leer exactamente qué te está pidiendo tu wallet antes de darle a aceptar.

Aquí conviene distinguir dos primos que se confunden fácilmente: pagar y aprobar. Pagar mueve una cantidad concreta ahora mismo, de una vez. Aprobar es distinto — le da permiso a un contrato para gastar tus tokens en el futuro, a veces por una cantidad limitada y a veces sin límite, según lo que apruebes. Muchas dApps piden primero una aprobación y después el pago propiamente dicho, como dos ventanas seguidas de tu wallet. Ambas ventanas merecen la misma lectura atenta, porque ambas tocan tu dinero — una ahora, la otra en cuanto alguien use ese permiso.

5. Por qué esta distinción te cambia cómo usas Web3

Una vez tienes esto claro, tu comportamiento cambia de forma sana en las dos direcciones. Dejas de tener miedo a conectar tu wallet a una dApp que buscaste tú mismo — es un gesto sin riesgo. Y, al mismo tiempo, dejas de aprobar cosas a la ligera solo porque "ya has aceptado otras diez veces sin que pasara nada". Cada ventana de tu wallet merece un segundo de lectura, especialmente cuando te pide firmar o aprobar algo.

Vale la pena recordar también algo que se aprende pronto en Web3: que algo sea una dApp (una aplicación cuyo motor corre en la blockchain) no la convierte automáticamente en segura. El motor puede ser sólido, pero la pantalla que ves —la parte con la que interactúas— puede ser una copia falsa. Por eso la seguridad real no está en confiar ciegamente en el sitio, sino en leer siempre lo que firmas o apruebas, venga de donde venga.